Die Grundsätze der DSGVO im Überblick

Definition: Europäische Datenschutzgrundverordnung (DSGVO / GDPR) Die Grundsätze der DSGVO im Überblick

19.01.2018Autor / Redakteur: Dipl.-Ing. (FH) Stefan Luber / Florian Karlstetter

Die Datenschutzgrundverordnung DSGVO sorgt für eine EU-weite Vereinheitlichung des Datenschutzes bei der Verarbeitung personenbezogener Daten. Sie ist für alle Mitgliedsstaaten automatisch ab dem 25. Mai 2018 gültig. Die DSGVO stärkt die Rechte von EU-Bürgern im Hinblick auf ihre Daten.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Insider Research

DSGVO: EU-weite Vereinheitlichung des Datenschutzrechtes mit weitreichenden Auswirkungen.
(Bild: gemeinfrei (geralt / pixabay) / CC0 )

Die Abkürzung DSGVO steht für die neue Datenschutzgrundverordnung der Europäischen Union. Sie wurde bereits 2012 von der Europäischen Kommission vorgestellt und reformiert den europäischen Datenschutz. Mit der DSGVO sollen das Datenschutzrecht und die Verarbeitung von personenbezogenen Daten europaweit vereinheitlicht werden. Die Datenschutzgrundverordnung beinhaltet Regeln für die Verarbeitung von personenbezogenen Daten, die für Unternehmen und öffentliche Institutionen gelten. Innerhalb des europäischen Binnenmarktes ermöglicht die DSGVO den freien Datenverkehr. In allen EU-Mitgliedsstaaten ist die Datenschutzgrundverordnung automatisch ab dem 25. Mai 2018 gültig.

Die Datenschutzgrundverordnung ersetzt die Richtlinie 95/46/EG aus dem Jahr 1995 und beinhaltet insgesamt 99 Artikel in elf verschiedenen Kapiteln. Nicht nur Unternehmen innerhalb der Europäischen Union sind von der Neuregelung betroffen, sondern auch Institutionen und Unternehmen, die mit der EU Geschäftsbeziehungen unterhalten oder Daten von EU-Bürgern verarbeiten. Die Rechte der EU-Bürger an ihren Daten werden gestärkt und Datenschutzverstöße stärker sanktioniert. Gleichzeitig haben Unternehmen gegenüber Behörden neue Pflichten. In Sachen Datenschutz ist eine engere Zusammenarbeit zu pflegen. Datenschutzverstöße sind innerhalb kurzer Fristen zu melden.

Durch technische und organisatorische Maßnahmen haben die Unternehmen dafür zu sorgen, dass personenbezogene Daten geschützt sind. Dabei haben die Schutzmaßnahmen dem aktuellen Stand der Technik zu entsprechen. Generell ist der Datenschutz durch den Grundsatz "Privacy by default" gekennzeichnet. EU-Bürger erhalten das "Recht auf Vergessenwerden" und die Möglichkeit, Daten von einem Anbieter auf einen anderen zu übertragen. Die Löschung von Daten ist sicher und nachweisbar durchzuführen.

Die Ziele der DSGVO

Das zentrale Ziel der DSGVO ist die Vereinheitlichung des Datenschutzrechtes in allen Mitgliedsstaaten der Europäischen Union. Länderspezifische Datenschutzgesetze und unterschiedliche Standards werden angeglichen und sowohl Bürger als auch Unternehmen können auf ein EU-weit einheitliches Datenschutzrecht vertrauen. Darüber hinaus verfolgt die Datenschutzgrundverordnung das Ziel, die Daten der EU-Bürger auch außerhalb der Europäischen Union besser zu schützen.

Alle, die Daten von EU-Bürgern verarbeiten wie Cloud-Dienste oder soziale Netzwerke, haben sich an die neuen Vorgaben zu halten. Die DSGVO ermöglicht durch die einheitliche Regelung des Datenschutzrechtes den freien Verkehr personenbezogener Daten in der EU. Bei der Verarbeitung der personenbezogenen Daten gelten die Grundsätze der Vertraulichkeit, Datenminimierung, Zweckbindung, Transparenz und Rechtmäßigkeit. Die Speicherung der Daten ist begrenzt und kann durch das "Recht auf Vergessenwerden" durch den Bürger untersagt werden.

Geltungsbereich der DSGVO

Die Datenschutzgrundverordnung gilt für alle EU-Unternehmen und für außereuropäische Unternehmen, die eine Niederlassung in der EU haben oder personenbezogene Daten von EU-Bürgern verarbeiten. Als personenbezogene Daten gelten alle Informationen, die sich auf identifizierbare Personen beziehen oder die Möglichkeit der Identifizierung bieten. Dazu zählen unter anderem Daten wie:

Namen

Adressen

Telefonnummern

Kontodaten

Kfz-Kennzeichen

E-Mail-Adressen

IP-Adressen

Browserverläufe

Damit ist die Datenschutzgrundverordnung nicht nur für große Unternehmen und Onlineshops, sondern auch für kleine Betriebe, Freiberufler, Handwerker oder Geschäfte bindend. Darüber hinaus sind die großen außereuropäischen Suchanbieter, sozialen Netzwerke oder Cloud-Betreiber von der Neuregelung betroffen.

Die DSGVO beinhaltet zudem verschiedene Regelungen des Beschäftigtendatenschutzes, die zu neuen Pflichten für Arbeitgeber und alle, die Arbeitnehmerdaten verarbeiten, führen.

Arbeitgeber sind alle, die Arbeitnehmer, Leiharbeiter, Azubis und andere Gruppen beschäftigen. Die Schutzmaßnahmen gelten schon vor einer Anstellung und schließen Bewerber für einen Arbeitsplatz mit ein. Weitere betroffene Stellen sind Personalvermittler, Betriebsräte oder Behörden. Grundsätzlich sollen nur die Beschäftigtendaten erhoben werden, die für die Ausübung einer Anstellung oder für die Bewerbung auf eine Anstellung erforderlich sind.

Die Grundsätze der DSGVO

Die DSGVO stellt im Umgang mit personenbezogenen Daten und deren Verarbeitung Grundsätze auf, die einzuhalten sind. Zu diesen Grundsätzen gehören zum Beispiel:

das Verbot mit Erlaubnisvorbehalt

die Datensparsamkeit und Zweckbindung

die Datensicherheit

das Recht auf Vergessenwerden

das Recht auf Datenübertragung

die Rechenschaftspflicht

ungehemmter Austausch personenbezogener Daten innerhalb der EU

Das Verbot mit Erlaubnisvorbehalt sorgt für ein grundsätzliches Verbot der Erhebung, Nutzung und Verarbeitung von personenbezogenen Daten ohne eine vorliegende Erlaubnis. Durch die Datensparsamkeit und Zweckbindung soll sichergestellt sein, dass nur die Daten erhoben und verarbeitet werden, die tatsächlich im konkreten Anwendungsfall benötigt werden. Die Daten sind zudem sachlich richtig und aktuell zu halten. Alle Datenverarbeiter haben für die Datensicherheit Sorge zu tragen. Die organisatorischen und technischen Maßnahmen des Datenschutzes haben dem aktuellen Stand der Technik zu entsprechen und müssen dem Schutzniveau angemessen sein.

Das Recht auf Vergessenwerden

Das Recht auf Vergessenwerden ist der Anspruch von EU-Bürgern auf Löschung oder Sperrung von gespeicherten Daten, wenn für die Nutzung oder Verarbeitung keine Berechtigung mehr vorliegt. Das Recht auf Datenübertragung räumt Usern die Möglichkeit ein, Daten von einem Anbieter auf einen anderen zu übertragen. Es kann beispielsweise beim Wechsel eines Arbeitgebers, einer Bank oder eines Cloud-Services in Anspruch genommen werden. Die Rechenschaftspflicht verpflichtet datenverarbeitende Institutionen die Einhaltung der Grundsätze und Prinzipien des Datenschutzes nachweisen zu können. Durch den Grundsatz des ungehemmten Austausches ist es nicht mehr möglich, den Datenaustausch personenbezogener Daten in der EU aufgrund unterschiedlicher Regelungen der einzelnen Länder einzuschränken oder zu verbieten.

Die DSGVO und Cloud Computing

Cloud-Service-Provider unterliegen als Auftragsverarbeiter ebenfalls der DSGVO. Zwar kann der Auftraggeber die Verantwortung nicht an den Cloud-Provider abgeben, doch hat dieser geeignete technische und organisatorische Maßnahmen zu treffen, um die Verarbeitung personenbezogener Daten gemäß den Vorgaben der DSGVO zu gewährleisten. Der Auftragsverarbeiter und allen ihm unterstellten Personen, die Zugang zu den Daten haben, dürfen diese nur nach Weisung und Vorgabe des Auftraggebers verarbeiten. Es gelten spezielle Haftungsregelungen, wenn Auftragsverarbeiter wie Cloud-Anbieter den Datenschutz verletzen. Bei Kontrollen des Datenschutzes sind durch den Auftragsverarbeiter geeignete Dokumentationen zur Verfügung zu stellen.

Die DSGVO und nationale Sonderregelungen

Die DSGVO gilt im Gegensatz zur Richtlinie 95/46/EG unmittelbar ab dem 25. Mai 2018 und bedarf keiner Umsetzung in nationales Recht in den EU-Mitgliedsstaaten. Den Ländern ist es nicht erlaubt, die Grundsätze des Datenschutzes der DSGVO durch eigene Regelungen abzuschwächen oder zu verändern. In einigen Bereichen sind jedoch Öffnungsklauseln vorhanden, die bestimmte nationale Sonderregelungen einzelner Aspekte erlauben.

Meldung von Verstößen und mögliche Sanktionen

Bei Verstößen gegen die Regeln der DSGVO können sich Bürger immer an die Datenschutzbehörde des eigenen Landes wenden. Dies gilt unabhängig davon, wo der Verstoß gegen den Datenschutz aufgetreten ist. Die zu verhängenden Sanktionen und Bußgelder sind deutlich höher als bisher. Aufsichtsbehörden haben die Möglichkeit, Bußgelder bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Konzernumsatzes des Vorjahres zu verhängen. Auch Gewinne von Unternehmen können aufgrund von Verstößen gegen die DSGVO eingezogen werden.